ESPAÑA. En el "dream team" del Spam

España ha estado mucho tiempo dentro de la lista de 12 países desde donde más Spam se generaba y se enviaba, sin embargo, en este primer trimestre de 2015 se ha reducido la generación se correo basura desde nuestro país, y finalmente hemos desaparecido de top12.

Tal como podemos ver en la tabla de clasificación anterior, Estados Unidos, Vietnam y Ucrania son los 3 países desde donde más correo basura se genera. China ha estado mucho tiempo entre los 3 primeros, sin embargo, en esta ocasión el correo basura de este país se ha reducido y este ha bajado hasta el sexto puesto.

Que España baje del duodécimo puesto es una buena noticia, aunque eso no significa que no estemos expuestos ante este tipo de correos basura.

¿Cómo protegerse del Spam?

• Los piratas informáticos a través del Spam son capaces de robar nuestros datos y credenciales, distribuir malware, publicar enlaces maliciosos, atacar otras webs e incluso infectar nuestro ordenador para utilizarlo para enviar más Spam.
• La mejor forma de protegernos frente a estos ataques es activar un buen filtro anti-spam (por ejemplo Gmail y Outlook tienen buenos filtros) y evitar siempre abrir correos electrónicos de personas desconocidas, con asuntos extraños y nunca descargar y ejecutar archivos adjuntos en el correo si no estamos 100% seguros.

Fuente: Sophos

SPAM. Envían mensajes informando un mensaje de voz de Whatsapp

Tras la entrada en funcionamiento de forma masiva de las llamadas de voz del servicio de mensajería Whatsapp este tipo de estafas se han reactivado, cobrando mucho más sentido y credibilidad entre los usuarios.

Funcionamiento de la estafa

• Los ciberdelincuentes utilizan el correo electrónico para ponerse en contacto con los usuarios, informándoles en el cuerpo del mensaje que tienen pendientes de escuchar un mensaje de voz que les fue enviado por uno de sus contactos. Este contenido se encuentra con un formato que se asemeja al que podría utilizar el servicio para ponerse en contacto con los usuarios (recordemos que estos nunca se ponen en contacto con los usuarios), disponiendo de un botón de “autoplay” gracias al cual el usuario será capaz de escuchar el contenido.
• Sin embargo, y tal y como era de esperar, se trata de una estafa que la única finalidad que posee es provocar que el usuario realice la descarga de contenido malware en su equipo.

El mensaje de “Whatsapp” aporta indicios para pensar que es falso

• De entrada, en el correo recibido puede verse como la dirección de correo electrónico que se ha utilizado para enviar el mensaje no corresponde con ninguna perteneciente al dominio del servicio, por lo tanto, ya es un indicativo más que claro de que podría ser un a estafa. Otro aspecto a tener en cuenta podría ser el asunto del mensaje, escribiendo de forma incorrecta el nombre del servicio de mensajería.
• Sin embargo, lo más indicativo es que el servicio nunca advierte a los usuarios de la existencia de mensajes de voz pendientes, ya que este tipo de alertas no existe en la actualidad y por lo tanto siempre tendríamos que rechazar de entrada este tipo de contenido.
• En lo referido a la amenaza que se está distribuyendo, se trata de un virus que simula ser una herramienta de seguridad, simulando  infecciones falsas y provocando que determinadas funciones del sistema operativo no se encuentren disponibles, como por ejemplo, el administrador de tareas o el acceso al panel de control.
• La existencia de una herramienta de seguridad en el sistema y ejecutándose de forma correcta permitía detectar a tiempo la presencia de la amenaza y detener su instalación.

Fuente: Redeszone.net

ESPAÑA, Séptimo puesto del ranking mundial de países emisores de 'spam'

 España ha entrado en el 'top 10' de países fuentes de 'spam' (correo o mensaje no deseado) del mundo, tras ocupar el séptimo lugar del ranking, solo por detrás de Estados Unidos (16,71%), Rusia (5,93%), China (5,53%), Vietnam (4,92%), Alemania (4%) y Argentina (3,55%), según Kaspersky Lab.

 La compañía especializada en soluciones de seguridad ha indicado que España, con un 3,2% del total del 'spam', ha escalado varios puestos en 2014, al igual que Alemania (con un 4%) y Francia (con un 2,55%), mientras que Corea del Sur (2,22%) y Taiwán (1,99%) pasan de ocupar el tercer y cuarto puesto al 13 y 14, respectivamente.

 En 2014 los 'spammers' han aprovechado noticias internacionales de gran interés como los Mundiales, las Olimpiadas de Invierno, el Mundial de Brasil o la epidemia de ébola, ha señalado la firma.

 No obstante, el número de mensajes de 'spam' se redujo en un 2,8% en 2014 con respecto al año anterior. De acuerdo con la previsiones de la compañía, en 2015 se mantendrá la tendencia a la baja del 'spam' publicitario, mientras que crecerá el spam fraudulento y malicioso.

 Del mismo modo, este año aumentará el número de mensajes y notificaciones bien falsificadas, donde los 'ciberdelincuentes' usan "trucos", como poner adjuntos con extensiones poco comunes, del tipo '.arj' o '.scr'. S

 En cuanto al 'spam' móvil, los mensajes que fingen ser un correo electrónico enviado desde un dispositivo móvil están alcanzando cada vez "más popularidad".

 Kaspersky ha señalado que estos mensajes tienen en común un texto muy corto (o inexistente) y una firma que dice 'Enviado desde mi iPhone'. Además, habitualmente, contienen links con archivos adjuntos maliciosos.

 Asimismo, generalmente los envíos masivos de 'spam' imitan notificaciones de diferentes aplicaciones móviles como WhatsApp y Viber. Los usuarios están familiarizados con la sincronización de aplicaciones de plataforma cruzada y la sincronización de los datos de contacto entre diferentes aplicaciones y las diferentes.

Fuente: El Mundo.es

ESPAÑA. Oleada de emails informa de carta certificada de Correos inexistente

En esta ocasión y con la llegada de la semana santa, los ciberdelincuentes han creado un correo falso que informa de una carta certificada.

Detalle de la estafa

• El mensaje utiliza la imagen de Correos para hacer creer al usuario que se trata de una notificación auténtica. En el cuerpo de este se puede ver como además del logo se describe un problema a la hora de repartir la carta. Para solucionar el problema se anima al usuario a descargar un documento que debe imprimir y rellenar para entregarlo en la oficina de Correos más próxima y así proceder a la entrega de la información certificado.
• Sin embargo, esto no es así y no existe dicha carta ni “Courier” no pudo entregar el paquete. En este caso este nombre pertenece a un nombre asignado de forma aleatoria. También podemos observar como algunas acentos tampoco están escritos de forma correcta, provocando que el usuario pueda sospechar sobre la legitimidad de este mensaje.

Objetivos  del ataque

• La finalidad es instalar un virus en el equipo del usuario o robar datos almacenados en el equipo, o bien utilizados durante la navegación por Internet o instalar un malware, alguna de estas tres acciones tendría que ser la que efectuase el archivo adjunto del correo electrónico.
•  En este caso nos encontramos ante un adware que posee la única finalidad de instalar un gran cantidad de programas no deseados en el equipo del usuario, provocando lentitud a la hora de realizar ciertas acciones y la modificación de algunas configuraciones, como por ejemplo, la página de inicio del navegador, el buscador o la presencia de una gran cantidad de páginas emergentes aunque el usuario se encuentre navegando por Google.
• Por suerte para el usuario, la eliminación no es complicada y tan solo tendrá que acudir al Panel de Control y desinstalar la aplicación con el nombre “AddwareRemover“, nombre del software malware que se está distribuyendo haciendo uso de estos correos.

Fuente: Redeszone.net

CRYPTOWALL. Notificaciones de fax falsas contienen el malware

Los ransomware continúan de moda y una buena prueba son  la última oleada de correos electrónicos. En ella se encuentra un serie de archivos CHM que prometen el acceso a una serie de mensajes enviados utilizando el fax. Sin embargo, el código HTML de estos provoca la descarga de un malware ya conocido, CryptoWall.

Operativa de la estafa

• Al usuario se le intenta engañar invitándole a abrir el archivo, haciéndolo creer que en realidad en su interior puede encontrar varios mensajes fax que le han enviado. Sin embargo, la realidad es muy distinta y en realidad el archivo contiene un código HTML que permite la descarga del malware de forma automática y su posterior ejecución. Según la compañía Bitdefender, nuestro país es uno de los que posee una tasa de infección más alta, superado por Rumania y Estados Unidos.
• Añaden que principalmente se está enviando a grandes y medianas empresas, produciéndose de esta forma la infección de unos pocos que permitirán una posterior expansión haciendo uso de memorias USB o cualquier otro tipo de unidad USB de almacenamiento.

Cryptowall infecta centenares de equipos durante el primer día

• Algunas informaciones hablan de que la campaña se habría iniciado la pasada semana, sin embargo, la cantidad de personas afectadas aumenta cada día, contabilizando centenares de nuevos usuarios cada día que pasa. Aunque auguran que sea una campaña relativamente corta, el funcionamiento de este ya se sabe cuál es: cifrar los archivos del equipo o parte de estos y solicitar al usuario un pago que permita el envío de la clave de descifrado y así recuperar el acceso a estos.
• En lo referido a nuestro país, algunas informaciones apuntan a más de 700 infecciones en poco más de 4 días de actividad, y se espera durante los dos próximos días se puede llegar a las 1.500 o incluso superar dicha cifra.
• La forma de recuperar los archivos no consiste en recurrir al pago, sino a una copia de seguridad que permita restaurar el equipo a un estado anterior y así disponer de nuevo de acceso a la información.
• A los tres países mencionados con anterioridad hay que añadir Dinamarca, Suecia, Alemania, Canadá, Australia y Reino Unido.

Fuente: Softpedia

BANDARCHOR. Distribuyen el malware haciendo uso de correos electrónicos

En esta ocasión se alerta al usuario de una infección inexistente, provocando el envío masivo de mensajes spam desde uno de los equipos pertenecientes a la red doméstica. Para optar a la solución del problema se insta a descargar una utilidad que permite localizar el malware y su posterior eliminación, sin embargo el ejecutable hace referencia a BandarChor.

Operativa del malware

• Si el usuario opta por hacer caso al correo y descargar el ejecutable, al abrirlo se producirá la instalación de este troyano, cuya principal función es realizar el cifrado de los datos que se encuentran almacenados en el disco duro del ordenador afectado. Los archivos que poseen las siguientes extensiones poseen una probabilidad bastante alta de verse afectados: DOC, XLS, JPG, ZIP, CDR, MKV, TXT, RTF, PDF, ODT, M2V, MOV, DWG, CSV, DOCX, PPT, AVI, MDB y TIB. Tal y como se puede comprobar están relacionados con aplicaciones de ofimática o contenidos multimedia.
• Sin embargo, una vez que los archivos han sido cifrados el comportamiento no es el habitual al que este tipo de malware nos tiene acostumbrados.

BandarChor no reclama ningún ingreso en forma de dinero para suministrar la clave

• El troyano modifica el escritorio del equipo mostrando el mensaje de la anterior imagen. En este se explica al usuario cuál es el proceso que debe seguir para disponer de nuevo de acceso a los archivos “secuestrados” por el malware. A diferencia de otros troyanos, el funcionamiento de este dista bastante, ya que para recuperar los archivos en ningún momento se hace mención a algún medio de pago para abonar cierta cantidad de dinero. A pesar de parecer gratuito, no se recomiendo el envío del correo para solicitar la clave de descifrado, ya que la posibilidades de que esta funcione de forma correcta y nos devuelva el acceso al archivo son casi nulas.
• Aunque no es una temática que se utilice con frecuencia, el advertir al usuario de infecciones o problemas en el equipo inexistentes no es la primera vez que se utiliza.
• Además del instalador del troyano, hay que avisar sobre la llegada de software adicional gracias al mismo instalador, sobre todo en forma de software no deseado (FUP) de tipo adware y spyware, provocando que el equipo experimente un funcionamiento anómalo, caracterizado sobre todo por una lentitud a la hora de realizar cualquier tipo de acción.

Fuente: Softpedia

PAYPAL. Falsos correos indican el cierre de la cuenta en el servicio de pago online

De nuevo el servicio de pagos es noticia y de nuevo lo es por una oleada de correos electrónicos spam, indicando al usuario que su cuenta ha sido bloqueada y que se deben actualizar los datos de inicio de sesión.

Tal y como ya indicamos al anunciar el cierre de estas páginas, las oleadas de correo no se detendrían pero al menos de dejaría fuera de servicio estas y que los usuarios no consiguieran acceder a ellas y dejar los datos de acceso en páginas falsas, recopilándose para posteriormente ser almacenados en un servidor propiedad de los ciberdelincuentes. A pesar de los esfuerzos de los responsables del servicio todo parece ser una batalla perdida, ya que en esta ocasión el enlace está disponible, es decir, la página web a la que se enlaza en el cuerpo del mensaje funciona de forma correcta.

Al acceder a esta página, el usuario no solo deberá facilitar los datos de acceso al servicio, sino que deberá introducir datos de una o varias tarjetas de crédito para “desbloquear” la cuenta de PayPal.

Teniendo en cuenta que se trata de un correo genérico y que en ningún momento se mencionan datos del usuario o de la cuenta que se ha bloqueado, podría considerarse como un indicativo de un correo electrónico phishing. De lo contrario, al acceder a la página enlazada se puede apreciar como el dominio no pertenece al servicio de pagos, por lo tanto, aquí tenemos una prueba mucho más evidente que la anterior de que la página es falsa.

PayPal no es la única aceptada y junto con Facebook es uno de los servicios que más se está viendo afectado por las suplantaciones de identidad y las campañas de phishing dirigidas contra usuarios aletatorios, utilizando casi seguro direcciones obtenidas en el mercado negro.

Fuente: Redeszone.net

AMAZON. Sus clientes son víctimas de una nueva campaña phishing

Nuevo ataque phishing dirigido contra los clientes de la tienda Amazon. En esta ocasión el correo electrónico spam informa al usuario de un uso fraudulento de su cuenta, obligando al usuario a confirmar su identidad haciendo uso de un enlace adjunto en el propio cuerpo del mensaje. Sin embargo, ya se sabe que los mensajes incluidos en los correos suelen guardar alguna sorpresa.

Sin embargo, en este caso los indicadores de un correo falso son muchos, ya que de entrada se puede observar que la dirección desde donde se está enviando el mensaje no pertenece al dominio de la tienda en línea. Pero por si fuera poco, también podemos ver como el cuerpo del correo resulta muy genérico, observando que en ningún momento se hace mención al usuario por su nombre, sino que se recurre por ejemplo en el saludo a “Dear Client“.

Pero donde queda demostrado con totalidad que se trata de un mensaje spam, a pesar de disponer logos y tipografía utilizada por Amazon, es al acceder a la página que se adjunta en el cuerpo, observando que se trata de un domino externo al de la tienda, algo que ya sucedía con la dirección de correo electrónico.

Suficientes pruebas para descartar el mensaje si es que el propio servicio de correo no lo ha hecho, sin embargo, existen usuario que caerán en el engaño casi con total seguridad.

Robar las credenciales de acceso a la cuenta de Amazon

• Tal y como suele ser habitual la URL es un hipervínculo que esconde otra dirección que difiere y mucho de la mostrada. En esta ocasión, la página a la que el usuario accede es una copia exacta de la de inicio de sesión de la tienda, con la única diferencia que en la barra de direcciones no muestra un dominio perteneciente a Amazon y que la mayoría de los enlaces de la página no funcionan o bien son imágenes para hacer creer al usuario que se encuentra en la página que imagina.
• Además de los datos de inicio de sesión, se vuelve a solicitar la introducción de los datos de pago (el número de la tarjeta de crédito, la fecha de caducidad y el CVV) todo esto con la única finalidad de realizar su posterior venta en el mercado negro o hacer una utilización fraudulenta de estos.

Fuente: Softpedia

SPAM. Utilizan Microsoft Volume Licensing Service para extender malware entre los usuarios

Un número no determinado de usuarios ha recibido durante los últimos días un correo donde se informa la necesidad de renovar la licencia de los productos adquiridos a la compañía de Redmond. 

Microsoft Volume Licensing Service se utiliza sobre todo para adquirir un gran número de licencias, sobre todo para empresas e instituciones o servicios públicos y válido tanto para los sistemas operativos como por ejemplo la suite de ofimática Microsoft Office. Aunque los ciberdelincuentes han explotado una gran cantidad de temas en lo referido a cebos para que los usuarios piquen, el uso de Microsoft Volume Licensing Service no es algo tan habitual.

Otros detalles del spam

• Sin embargo, esto es solo una versión ya que dentro de la gran variedad que existe, hay que mencionar que en esta ocasión los ciberdelincuentes utilizan el reclamo de haber aceptado la utilización de este sistema de distribución de licencias, explicando cuál es el proceso a seguir para obtenerlas de forma correcta. Aunque existen muy pocas posibilidades, esto quiere decir que si un usuario o empresa ha utilizado recientemente este sistema para adquirir productos de Microsoft podría caer en el engaño.
• Sin embargo, al no ser un sistema muy habitual, y más entre usuarios domésticos, expertos en seguridad piensan que resulta francamente complicado que la amenaza malware prolifere, o al menos con éxito.

Distribuir un archivo malware utilizando Microsoft Volume Licensing Service

• Al realizarse la descarga se produce el desempaquetado de una aplicación, sin embargo, cuando finalmente termina no se produce ningún tipo de reacción en el equipo ni se inicia ningún tipo de instalador. Expertos en seguridad han descubierto que en realidad el ejecutable es un troyano bancario aunque no han podido determinar a cuál de todos ellos pertenece esta variante, sobre todo porque posee un sistema de defensa que detecta si el archivo se intenta ejecutar a través de una máquina virtual o si el equipo posee un gran cantidad de sandbox activas, suspendiendo su actividad y eliminándose del sistema.
• A pesar de todo, algunos expertos en seguridad creen que este troyano podría ser un señuelo para que las herramientas de seguridad dejen al descubierto sus sistemas de protección en tiempo real y así conseguir crear nuevas amenazas que sean inmunes frente a estas.

Fuente: Softpedia

SPAM. Correos falsos alertan de suspensiones de cuentas Facebook y actualizaciones Google Chrome

La última oleada de correos falsos tiene como asunto la suspensión de la cuenta de la red social Facebook y una supuesta actualización del navegador web Google Chrome, ambas cosas totalmente falsas pero que sirven como gancho para que los usuarios accedan a páginas falsas.

Para realizar esto los ciberdelincuentes no solo se han ayudado de direcciones de correo electrónico robadas, sino que el número de sitios web comprometidos es aún una incógnita, dando cobijo en ellos a los ejecutables que se encargarán de infectar los equipos de los usuarios. 

En esta ocasión, el malware utilizado es CTB-Locker, un conocido para los usuarios que nos leen a diario y que recibe también el nombre de Critroni.

Para que los usuarios descarguen este archivo en primer lugar deben creerse que se ha suspendido la cuenta de la red social o bien hay una actualización de Google Chrome disponible, indicándose en el propio cuerpo del correo electrónico un enlace en el que respectivamente se podrá reactivar la cuenta o descargar la actualización respectivamente.

Desde Trend Micro han confirmado la existencia de una campaña de correos electrónicos falsos que está afectando a usuarios europeos y estadounidenses, detectándose en todo los casos el empleo del malware citado con anterioridad.

Correos falsos y CTB-Locker, algo que empieza a ser común

• Desde que hemos comenzado el año la actividad de este troyano encargado de cifrar los archivos del equipo infectado se ha disparado, siendo una prueba de ella la cantidad de veces que hemos hablado de oleadas que hacen uso de él, siendo una prueba de ello la de la semana pasada, donde ya hablábamos de actualizaciones falsas del navegador de los de Mountain View.
• Tal y como es habitual en este tipo de infecciones el troyano bloquea el acceso a un grupo de archivos escogido al azar o bien la mayor parte del disco duro, solicitando un pago que permita el suministro de la contraseña y así recuperar el acceso a estos archivos.
• Después de realizar algunas investigaciones, desde Trend Micro centran sus miradas en un grupo de ciberdelincuentes conocidos por estafar a usuarios de PayPal utilizando páginas falsas con la misma apariencia que las de el servicio oficial, permitiendo obtener los datos de los usuarios de forma fácil.

Fuente: Softpedia

CHINA. Lidera el ranking de paises emisores de spam desbancando a EEUU

Uno de cada seis correos de spam procede de China, con lo que el país asiático desbanca a Estados Unidos de su liderato de muchos años.

Sophos ha lanzado su informe Spamionship correspondiente al último trimestre de 2014, en el que refleja cuáles han sido los países que más spam han enviado en el período. Como gran novedad en este informe, China accede a la primera posición, tradicionalmente ocupada por Estados Unidos, con un 16,7%, lo que significa que uno de cada 6 correos basura recibidos se emiten desde el país asiático. El auge de los países asiáticos en este tipo de prácticas se ve reflejado en el informe, ya que otros países como Corea del Sur (3º), Japón (5º), Vietnam (6º), India (10º) o Taiwán (12º) ocupan posiciones de importancia en el ranking.

España se mantiene cerca de la cabeza, ocupando la 13ª posición con un 1,7%. Se observa también el descenso generalizado de spam enviado por países occidentales, que están siendo sustituidos por los orientales. Así en el informe correspondiente al tercer trimestre de 2014 se observaba que la mitad de los países en los primeros puestos del ranking pertenecían a Europa, mientras que en este último informe el predominio asiático es palpable.

La mayor parte del spam es enviada por ordenadores zombie, es decir, equipos que han sido infectados por bots y que son manejados por un tercero, que los recopila en las llamadas granjas de bots para realizar envíos masivos de correo basura o realizar ataques de denegación de servicio, entre otros. Es por esto que lo que este informe verdaderamente refleja es que los equipos asiáticos se están volviendo más vulnerables frente a la infección de este tipo de malware, por lo que los envíos de spam utilizando ordenadores de esta procedencia aumenta.

“Para proteger nuestro ordenador de la posible infección de estos bots y evitar que se conviertan en zombies, lo más importante es contar con un antivirus instalado y actualizado en el equipo”, señala Pablo Teijeira, Director General de Sophos Iberia, que añade: “además, desconfiar de correos electrónicos de procedencia no conocida o de enlaces en redes sociales con asuntos sensacionalistas es básico si queremos mantener nuestros equipos a salvo”.

Sophos pone a disposición de todos los internautas, de forma completamente gratuita, su herramienta Sophos Virus Removal Tool, la cual, analiza el equipo en profundidad en busca de posibles amenazas. Esta herramienta tiene acceso directo a los datos de virus de SophosLabs, la red global de laboratorios de investigación de amenazas de Sophos, para garantizar la detección y la eliminación de cualquier virus, incluso los más recientes. Además, funciona de forma paralela a cualquier antivirus instalado en el PC.

Fuente: Diarioti.com

CTB-LOCKER. Amenaza a los usuarios con una falsa actualización de Google Chrome

Los piratas informáticos habitualmente utilizan técnicas de ingeniería social cada vez más complejas para engañar a los usuarios e infectarlos con malware. Una de estas técnicas más utilizadas es la infección por medio del correo electrónico basura, ya sea mediante un adjunto malicioso como a través de un enlace a una falsa página web.

CTB-Locker, también conocido como Cirtroni, es ransomware muy peligroso. La principal cualidad de este ransomware es que trabaja completamente a través de la red Tor, tanto para enviar las claves privadas de cifrado como para los pagos, lo que hace que sea muy complicado de identificar.

Recientemente la empresa investigadora de seguridad Kafeine ha detectado una nueva ronda de infección de este malware. Según se ha podido conocer, una serie de correos electrónicos maliciosos llegan a los usuarios con un enlace que, al acceder a él, muestra un mensaje indicando que la versión de Google Chrome es obsoleta y vulnerable, facilitando un link para descargar una supuesta versión más actualizada.

Una vez que se ejecuta la actualización maliciosa se comienzan a cifrar los archivos que, una vez se finaliza el proceso, pide un pago de 2 Bitcoin (alrededor de 500 euros) para poder descifrarlos. CTB-Locker no es más que una amenaza más que busca llegar a los usuarios a través del software. Otras infecciones se llevan a cabo igualmente a través de falsas actualizaciones de aplicaciones utilizadas como Java o Adobe Flash Player, por lo que siempre que debamos actualizar estos componentes se debe hacer a través de las páginas web principales y nunca desde enlaces que puedan llegarnos a través del correo electrónico o desde páginas web sospechosas.

Fuente: Infosecurity

DYRE. Distribuyen este malware por medio de correos bancarios

En esta ocasión, utilizan correos bancarios (acceso a cuentas, deudas, facturas pendientes), para llamar la atención de los usuarios y así conseguir que estos accedan a una página web mediante un enlace ubicado en el cuerpo del mensaje. La finalidad de esta dirección es instalar el virus Dyre en el equipo del usuario.

La botnet Cutwail es la encargada de distribuir estos mensajes spam que ya se cuentan por más de 7.000 en menos de dos días. Antes de instalar el virus que anteriormente hemos indicado se realiza la descarga de otro malware: Upatre. Hay que recordar que este programa malicioso se encargaba de instalar otras aplicaciones maliciosas, sirviendo como puente entre el servidor de los ciberdelincuentes y el equipo del usuarios que se quiere infectar.

Los correos electrónicos que se utilizan para esta finalidad están relacionados con temas de servicios de banca, como por ejemplo notificaciones falsas sobre accesos no autorizados a la cuenta, movimientos sospechosos, recibos que no se han pagado o posibles compras que se han realizado haciendo uso de una tarjeta de crédito del usuario. La finalidad  de esto es muy clara: llamar la atención del usuario y provocar que acceda al enlace contenido en el cuerpo del correo electrónico.

La dirección URL lleva al usuario a una página web que a priori pertenece a la entidad bancaria de la que el usuario es cliente.

Comprobar posibles vulnerabilidades en el navegador web utilizado

·   La finalidad de esta página web a la que el usuario accede no es otra que la de comprobar la existencia de vulnerabilidades en el navegador utilizado por el usuario, permitiendo en ese caso la ejecución de código Javascript que permita la descarga en primer lugar del malware Upatre. Una vez que este se ha instalado de forma correcta en el equipo comienza a comunicarse recurriendo a conexiones cifradas con el servidor remoto propiedad de los ciberdelincuentes y desde donde se realizará la descarga del virus Dyre.

·     Aunque ya hemos hablado varias veces de este archivo malicioso, la finalidad es permanecer en segundo plano en el sistema y realizar la captura de las pulsaciones de teclado para así conseguir las contraseñas de acceso a servicios bancarios u otros como redes sociales o servicios de mensajería.

Fuente: Softpedia

SPAM. Usan documento vacío de Microsoft Word para distribuir malware

Los ciberdeliuentes se han dado cuenta que la utilización de estos documentos permite eludir los sistemas de protección contra correos spam de los servicios de correo y así una nueva oleada hace uso de un archivo de estas características vacío, provocando el desconcierto en el usuario cuando intenta visualizarlo.

De nuevo se tienta al usuario indicando en el cuerpo del mensaje que este documento posee información relacionada con la actividad mostrada en sus cuentas durante los últimos días, describiéndola como anormal y sospechosa. Cualquier usuario que no tenga conocimiento de los temas utilizados en las estafas y el funcionamiento de estas procederá a la descarga del fichero para comprobar de qué se está hablando. Sin embargo, cuando realice la apertura del documento se encontrará con una gran sorpresa: el documento de Microsoft Word está completamente vacío.

Hay que recordar que las macros por defecto no están habilitadas, pudiendo ver el usuario el mensaje en la parte superior donde se indica que para disfrutar de la funcionalidad completa del documento se debe activar esta característica. Desde Bitdefender son claros y concisos: la única forma de evitar que el equipo sea infectado es no activar la ejecución de macros en el documento.

El archivo vacío de Microsoft Word se distribuye sobre todo por países europeos

·    Desde la empresa de seguridad Bitdefender aclaran que la amenaza se está distribuyendo sobre todo en Europa, siendo loa países más afectados Italia, Francia, Reino Unido y Alemania. Sin embargo, a este listado también habría que añadir Canadá y Australia. La amenaza lleva activa desde principios de esta semana y se ha calculado que se están enviando 7.000 correos diarios.

·    La utilización de código ofuscado provoca que los sistemas de protección de los servicios de correo no sean capaces de filtrar el correo y que finalmente este se ubique en la bandeja de entrada de los usuarios en lugar de la carpeta de spam.

·     Cuando la macro se ejecuta se realiza la apertura del navegador web con una dirección desde la que se realiza la descarga de un archivo. Para evitar su instalación solo es necesario cancelar la descarga o en el caso de la realización de esta borrar el archivo de forma inmediata.

Fuente: Softpedia

YOUTUBE. Utilizan su imagen en un correo spam para robar contraseñas

Youtube es muy popular entre los usuarios y la vinculación de la cuenta de este servicio con la de otros como Gmail o Google+ provoca que el valor de sus credenciales se multiplique. El correo spam difundido busca robar las credenciales de acceso de los usuarios de este servicio.

En el correo se puede ver como se hace mención a una supuesta confirmación de datos ante un cambio realizado en la privacidad del servicio, siendo necesaria esta acción si se desea continuar utilizando y disfrutando del contenido del servicio. Sin embargo, tal y como se puede comprobar en la imagen de pie del post, lo primero que debería llamar la atención es que el correo ha sido enviado utilizando una cuenta del servicio Gmail, y no una corporativa propiedad de los de Mountain View. También hay que tener muy en cuenta que ante un evento de estas características Google sí suele informar mediante un correo pero bajo ningún concepto insta al usuario a introducir sus datos en un formulario incluido en el propio mensaje.

La prueba de que el mensaje es falso resulta tan evidente que hasta la propia compañía incluye contenido adicional indicando que nunca se deben proporcionar contraseñas y que este contenido no ha sido aprobado por los responsables de la misma.

Reclamación de contenidos de Youtube o cambio de la política de privacidad

·    Anteriormente hemos mencionado el segundo pero sí que es cierto que en determinados casos como es el de la imagen hemos podido observar el primero. Con la cantidad de problemas con los derechos de autor de piezas musicales se ha optado por advertir al usuario de una reclamación falsa interpuesta por un usuario sobre el contenido de la cuenta, siendo necesaria la confirmación de algunos datos para proceder a tomar una decisión por parte de los responsables del propio servicio.

·      Lo más descriptivo para confirmar que se trata de un correo spam es la dirección sin ningún tipo de duda. Por lo tanto, para evitar ser engañado lo mejor es no proporcionar nunca las credenciales de acceso, y en caso de duda contactar con el soporte técnico de dicho servicio y que ellos confirmen la veracidad de dicho contenido.

Fuente: Redeszone.net

MALWARE. Spammers usan WhatsApp para transmitir sus enlaces maliciosos

La firma de seguridad móvil AdaptativeMobile ha alertado de que los tradicionales SMS con spam han sido sustituidos por mensajes con enlaces maliciosos en WhatsApp.

Hace años los SMS eran el método rey a la hora de enviar spam pero ahora la situación es bien diferente, ya que populares aplicaciones de mensajería como WhatsApp han tomado el relevo a la hora de transmitir enlaces con contenidos maliciosos.

La empresa AdaptativeMobile, especializada en seguridad en el campo móvil, ha explicado que las tácticas que emplean los spammers para expandir sus contenidos se han vuelto más sofisticadas para poder traspasar los filtros de spam existentes en el mercado.

Asimismo, han comentado que los contenidos de esos mensajes basura no han cambiado desde los tiempos de los SMS, y simplemente se ha producido un salto a nuevos canales de distribución.

En el caso concreto de la India, uno de los países más afectados, en AdaptativeMobile aseguran que la compra de paquetes de mensajes de spam publicitario para WhatsApp tiene un coste en rupias equivalente a los 30 centavos de dólar, lo que hace que resulte rentable su envío.

De cara al futuro, en la firma de seguridad apuntan que el objetivo de las aplicaciones de mensajería radica en seguir evolucionado e implementando medidas que contribuyan a salvaguardar a sus usuarios frente al spam.

Fuente: Silicon Week.es

DYREZA. Distribuiyen dicho malware utilizando los incidentes de Ferguson

En esta ocasión, los ciberdelincuentes se han ayudado de los incidentes que se han dado en la ciudad estadounidense de Ferguson para enviar un correo electrónico a los usuario y hacerles creer que el enlace contenido en su lleva a la página web de la CNN, sin embargo, sirve para que los usuarios realicen la descarga de un virus.

En concreto, el troyano que se está distribuyendo es una variante de Dyreza, un malware destinado al robo de los credenciales de servicios de banca en línea. Para los usuarios europeos no resulta tan desconocido, ya que en muchas ocasiones se ha utilizado contra los usuarios Suizos o de países nórdicos. 

Este troyano es capaz de saltarse el cifrado SSL. La explicación es muy sencilla, una vez que este ha llegado al equipo de los usuarios, comprueba el historial de navegación del usuario y localiza las páginas de las entidades bancarias, permitiendo a los ciberdelincuentes desviar la navegación hacia páginas falsas gestonadas por ellos, provocando que al introducir los usuarios sus datos de inicio de sesión estos se envían inmediatamente al servidor de los ciberdelincuentes.

Se utilizan varios nombres a la hora de distribuir el ejecutable

• Para dar mayor credibilidad al correo electrónico, este se firma utilizando una importante abogacía estadounidense, dando mucho más veracidad a la denuncia de la situación que se hace a lo largo del cuerpo del correo.
• A la hora de acceder al enlace de la CNN comienza la descarga de un archivo ejecutable, que muchos se lo tomarán como un documento de texto o multimedia donde se podrá visualizar lo que se hace referencia en el cuerpo del mensaje. ybwbh.exe o file-7765943_exe son dos de los títulos que se toman para distribuir el virus entre los usuarios.
• Los expertos en seguridad afirman que esta campaña de spam no va a durar más de tres semanas y es probable que se prolongue durante las fechas navideñas por la cantidad de compras que los usuarios realizan.

Fuente: Softpedia

SPAM. Utilizan logo de Norton para distribuir un correo y robar credenciales

En esta ocasión, los ciberdelincuentes se han valido de la imagen de los productos de seguridad Norton para engañar a los usuarios y así conseguir que estos introduzcan sus credenciales de acceso a su correo personal en una página falsa, recopilándose en un servidor propiedad delos ciberdelincuentes.

En el correo se indica al usuario que la cuenta de correo ha sido desactivada tras realizar un análisis de la misma tras haber detectado una actividad sospechosa en la misma. Para lograr desbloquear la cuenta el usuario debe acceder a un enlace en el que se ofrece la posibilidad de introducir sus credenciales para conseguir el desbloqueo de la misma.

También se ofrece la posibilidad de realizar un escaneo de 30 segundos para detectar y bloquear la actividad sospechosa de la cuenta. Sin embargo, esto nunca va a suceder y a pesar de introducir los datos de forma correcta en la página se indicará que los datos introducidos no son correctos. A pesar de todo, lo que sí que ha funcionado de forma correcta es el sistema que utilizan los ciberdelincuentes para recopilar la información de los usuarios, almacenando estas credenciales en un servidor remoto propiedad de estos.

Sin embargo, el usuario puede evitar este problema si la autenticación en dos pasos se encuentra activada. Y es que haciendo uso de esta función los ciberdelincuentes no podrían disponer de acceso a la cuenta, ya que les falta la verificación final, enviada por ejemplo en forma de SMS a un terminal móvil.

Fuente: Softpedia

PAYPAL. Los usuarios víctimas de una oleada de spam de la Apple Store

Los diferentes problemas de seguridad sufridos por los equipos de PayPal han provocado que los datos de sus usuarios en algún momento queden expuestos, de ahí que ahora estos estén recibiendo un mensaje spam que utiliza como gancho una compra realizada en la Apple Store.

La finalidad de esta campaña no es otra que la de el robo de las credenciales de acceso a las cuentas del servicio de pagos, aprovechando sobre todo que se acercan las fechas navideñas y que la ingeniería social para estos temas está alcanzando su punto más álgido. 

Aunque no se conocen las cifras relacionadas con esta oleada de spam, todo parece indicar que al menos el 80% de los usuarios con cuenta activa en el servicio han recibido este mensaje, desconociendo el porcentaje de usuarios que han accedido al sitio web falso dedicado a robar el usuario y la contraseña de acceso.

Como suele ser habitual, se utilizan temas importantes para que el usuario se vea obligado a prestar atención al contenido y a interactuar con los enlaces o los ficheros que se adjuntan en el cuerpo del mensaje.

Una compra realizada en la Apple Store sin ser autorizada

• En el cuerpo del mensaje se ve un documento con un formato muy similar al utilizado por PayPal. Teniendo en cuenta que el usuario no ha realizado esa compra, prestará mucha más atención a una parte del correo donde se muestra un texto que contiene un enlace hacia una página donde se permite la cancelación de la compra. Al acceder a dicho contenido el usuario es redirigido a un sitio web que a priori es de PayPal, siendo en realidad una página web falsa diseñada para robar las credenciales de acceso a la cuenta y algunos datos más.
• El envío de las credenciales pueden resultar fatales parar el usuario, ya que la cuenta del servicio de pagos podría ser robada sin que se percatase de ello. Sin embargo, todo esto queda anulado si esta posee activada la autenticación en dos pasos, ya que sin el código de verificación que se envía al iniciar sesión y que es necesario introducir para completar el proceso, los ciberdelincuentes no tienen ninguna opción.
• Para detectar que este mensaje es totalmente falso y aleatorio solo hay que fijarse que el usuario no es llamado por el nombre, sino que se utiliza un saludo genérico recurriendo a la dirección de correo electrónico.

Fuente: Softpedia

FACEBOOK. Nuevo scam: Sorteo de dos Audi R8

Una nueva oleada de mensajes scam se está distribuyendo a través de Facebook y en esta ocasión el gancho utilizado es mucho más original y se insta a los usuarios a participar en un sorteo de dos Audi R8.

Una imagen vale más que mil palabras, y nunca mejor dicho, ya que los ciberdelincuentes han utilizado la fotografía de este coche para llamar la atención de los usuarios, participando en el sorteo de forma automática con solo proporcionar su dirección de correo electrónico y “Seguir” la página en cuestión, además de compartir dicho contenido. La finalidad de esto es doble, ya que no solo se consigue las direcciones de correo de una gran cantidad de usuarios sino que se obtiene una mayor difusión.

En la página se anuncia que los ganadores del sorteo se darán a conocer a lo largo del día, pero después de una semana que la estafa lleva activa aún no se ha procedido a realizar ningún tipo de anuncio y el número de usuarios siguiendo esta aún continúa aumentando.

Lo más importante de esta estafa es que se tarde en descubrir lo que es en realidad, y para eso los ciberdelincuentes piden a los usuarios que dejen un comentario indicando qué características les gustaría que tuviese el vehículo.

Un control mayor sobre este tipo de actividades

• Expertos en seguridad y colectivos de usuarios solicitan que desde Facebook actuen con mano dura con este tipo de prácticas, procediendo mejor pornto que tarde a la desactivación del perfil o de la página para evitar que el número de usuarios sea demasiado grande.
• Aunque se desconoce la finalidad, es probable que el hecho de pedir la dirección de correo electrónico sea un indicativo de que estas puedan venderse en el mercado negro para luego ser víctimas de oleadas de spam, pudiendo obtener un beneficio de 800 euros con esta operación.

Fuente: Softpedia